ForgeRockは中国本土で使えるか：データの国内保存、ICP、越境ルール

ForgeRockのログイン画面が上海から速く描画されるかは運用上の細部であって、中国で使えるかを決めるものではありません。ForgeRock——現在はPing Identityの一部——は、中国のユーザーにとっての単一のアクセスの門であり、アイデンティティのグラフです。すべての従業員を認証し、顧客アイデンティティ（CIAM）側を通じて、登録またはログインするすべての消費者を認証し、中国事業全体で誰が何に到達できるかの権限マップを保持します。それを決めるのはコンプライアンス・リスクの問いです——それらのアイデンティティ・MFA要素・アクセスログがどこに保存され、どの同意に基づき、アイデンティティのコントロールプレーンが統治されているか、そして中国向けのログイン接点がICP備案されているか。

ForgeRockは2通りで動かせ、中国法の下ではそれらはまったく異なる場所に行き着きます。PingOne Advanced Identity Cloud（ホスト型のSaaS、旧ForgeRock Identity Cloud）としては、中国本土のリージョンがありません——Ping自身のData regionsドキュメントは、カナダ・米国・ブラジル・ヨーロッパ・中東・アジア（香港、シンガポール、ジャカルタ、ムンバイ）・オーストラリアにわたるホスティングを挙げますが、中国本土には何もありません——そのため中国事業のアイデンティティデータはオフショアで保持・処理されます。ForgeRockは自己管理型のソフトウェア——貴社自身のインフラにインストールして動かすPingAM、PingDS、PingIDM——としても提供され、それが合法的な国内の経路を開くレバーです。ですから誠実な答えは単なる「不可」ではありません——オフショアのSaaSがリスク、国内の自己管理型デプロイが解決策、です。

ForgeRockが実際に保持するもの——アイデンティティのグラフとアクセスの門

アクセス管理とCIAMのプラットフォームは、貴社が持つ最も機微なデータセットを集約します。ForgeRockはその複数の層を同時に保持します。第一に、アイデンティティ・ディレクトリ——従業員アカウントと、CIAM側では大規模な消費者アイデンティティのグラフ、つまり登録・サインインするすべての中国の顧客と、そのプロフィールやアカウントのデータです。第二に、認証とMFAの要素——パスワード、デバイス信頼のシグナル、プッシュトークン、そして本人確認に使われる生体や身分証明書の要素。第三に、権限とロール——中国システム全体で誰が何にアクセスできるかのマップ。第四に、誰がいつ何に到達したかを記録するセッション、トークン、アクセス／監査ログ。オフショアに保持されれば、それは中国のアイデンティティ資産の集約された設計図であり、他のすべての前に立つ門そのものです。

門：データ国内保存、アイデンティティグラフという後半、自動意思決定、機微な要素、そしてICP

従業員と消費者のアイデンティティデータ、オフショアに。 中国事業のためにSaaSを動かすことは、従業員の、そしてCIAMを通じて消費者の個人情報を、オフショアのクラウドに置きます。それを収集するにはPIPL第13条・第23条の通知と個別の同意が必要です。国外へ送ることは第38〜40条の下での越境移転であり、移転メカニズムを要します。重要情報インフラ運営者や大量取扱者には、サイバーセキュリティ法（英語）第39条（旧第37条——2026年1月1日施行の2025年サイバーセキュリティ法改正により、データ国内保存の条項は第37条から第39条に繰り下げられ、実質は変わりません）が、中国で生成した個人情報を中国本土内に保存することを求めますが、オフショアのみのリージョン一覧ではこれはできません。

アイデンティティのグラフと権限マップは、集約されたセキュリティガバナンスのリスク——到達性チェックには決して見えない半分です。 これは単なるプライバシーの問題ではありません。ディレクトリ、権限／ロールのマップ、アクセスログは、合わせて中国事業全体で誰が何にアクセスできるかの設計図であり、アイデンティティプロバイダーはその背後のすべてを守る単一のコントロールプレーンです。一つのオフショアの記録に収まることは、越境データの問題であると同時に、機微な事業については、「重要データ」（重要数据）の問いと、貴社の中国資産を認証・認可するシステムに付くネットワーク等級保護制度（MLPS／等級保護、等级保护）の義務を生じさせることがあります。確定した分類ではなく、法務と確認すべきリスクとして扱ってください——しかしそれはまさに、「ログインページは読み込まれるか？」というテストには見えないリスクです。

自動化・リスクベースのアクセス判断。 ForgeRockのアダプティブ／リスクベースの認証や、自動化されたアクセス・認証の判断は、上記のデータに作用し、個人をプロファイリングし、あるいは個人について判断するところでは、自動意思決定に関するPIPL 第24条に触れます——個人はもっぱら自動的な手段でなされる判断を拒否でき、プロファイリングは個人の特性にターゲティングされない選択肢を提供しなければなりません。

生体・身分証明書の要素は機微な個人情報です。 フローが生体認証や身分証明書の取得を認証要素として用いる場合、それらはPIPL 第28〜29条の下での機微な個人情報です——特定の目的、必要性の立証、個別の同意のもとでのみ取り扱われ、国境を越えて移すことは基準を下げるのではなく上げます。

中国向けのログインや登録の接点のためのICP備案。 中国本土の訪問者に提供されるログインや登録のページ——とりわけCIAMの正面玄関——はインターネット情報サービスであり、中国本土のホスティングに紐づくICP備案を要します（国務院令第292号、工業・情報化部令第33号）。オフショアのアイデンティティサービスを単に到達できるようにしても、これは満たせません。

中国でのForgeRock：ひと目で

速く読み込むことは答えではない——国内のアイデンティティデータが答えだ

到達性チェックが確かめるのは一つだけ——ログイン画面が中国本土から描画されること、です。従業員と消費者のアイデンティティがどこにあるか、権限マップとアクセスログ——中国資産全体で誰が何に到達できるかの設計図——がオフショアに置かれていること、そして中国向けのログインや登録の接点がICP備案されているかどうか、は見えません。オフショアのForgeRockテナントを単に到達できるようにしても、アイデンティティデータはオフショアのまま、コントロールプレーンは統治されないままです。変わるのはレイテンシであって、コンプライアンスの立場ではありません。だからこそ答えは、配信上の小細工ではなくデータ国内保存です——アイデンティティデータを国内に留め、門を統治することです。

合法的な経路——map・localize・deliver

map（整理）。 ForgeRock環境が何を保持するか——従業員と消費者のアイデンティティ、認証とMFAの要素（生体や身分証明書の要素を含む）、権限とロール、セッションとアクセス／監査ログ、そして中国向けのログインや登録の接点——を棚卸しし、それぞれが今どこで動くか、ICPの状況、アイデンティティのコントロールプレーンがMLPSに関わるか、そして貴社が依拠する同意とデータ国内保存の根拠を把握します。

localize（国内化）と統治。 規制対象のアイデンティティデータとアクセスログを国内に留めます。ForgeRock Identity Platformは自己管理型のソフトウェアなので、PingAM、PingDS、PingIDMを中国国内のインフラ上にデプロイし、そのデータを中国本土に留められます。それに第13条・第23条の通知と個別の同意、自動化されたアクセス判断についての第24条のオプトアウト、生体や身分証明書の要素への機微個人情報の取り扱い、そしてアイデンティティのコントロールプレーンにふさわしいMLPS／重要データの統制を組み合わせます。

deliver（配信）。 中国向けのログインや登録の接点をICP備案し、すでに運用中のものの前段に法令適合の国内からの配信を置きます。21YunBoxは、既存のForgeRockデプロイの前段にこれを立ち上げます——作り直しも、製品そのものの移行もありません。

21YunBoxはいかなる種類の不正な手段も用いず、また推奨しません——法が留まるべきだとするものを国内に留め、残りを中国本土の内側から法令適合に配信し、アイデンティティデータをひそかに国境を越えて移すことは決してしません。

ForgeRockの中国設定の範囲を定め、国内経路のお見積もりを得るには、当社の中国コンプライアンスチームにお問い合わせください。

コンプライアンス評価を依頼する（英語） →

関連する読み物：

• PIPLの下での越境データ移転
• 中国のサイバーセキュリティ法（データ国内保存、第39条／旧第37条）（英語）
• 中国の個人情報保護法（PIPL）（英語）
• 中国のICP備案の取得方法

関連テクノロジー

BeyondTrust

BeyondTrust

Delinea

Delinea

Cisco Duo

Cisco Duo

Keycloak

Keycloak

Saviynt

Saviynt